Was sieht Patchnight von meinen Login-Daten?

Das Wichtigste

Passwörter und Zwei-Faktor-Geheimnisse verlassen deine Website nie. Patchnight bekommt Zählwerte und die Adressen von Angreifern. Namen und Adressen aus deinem Team sind für deine Organisation verschlüsselt. Unser Betreiber sieht sie nicht im Klartext.

Bleibt auf deiner Website

Passwörter speichert und überträgt der Schutz nicht. Die geheimen Schlüssel für die Zwei-Faktor-Anmeldung, die Wiederherstellungscodes und die Schlüssel für vertraute Geräte liegen nur auf deiner Website. Wir senden sie nie an Patchnight, auch nicht verschlüsselt.

Das Protokoll in WordPress bewahrt Anmeldeereignisse 30 Tage auf. IP-Adressen zeigt es standardmäßig gekürzt.

Was Patchnight bekommt

Ist die Website verbunden, schickt sie uns, wie viele Angriffe abgewehrt wurden, die Adressen und Netze der Angreifer und ob ein Zugang aus deinem Team betroffen ist. Daraus entstehen Verlauf, Wochenrückblick und Kundenbericht. Angreifer-Adressen werden nach 90 Tagen gelöscht, tägliche Zählwerte nach 13 Monaten.

Ohne Verbindung ruft das Plugin keine fremden Server auf. Alles bleibt dann in WordPress.

Verschlüsselt für deine Organisation

Benutzernamen, probierte Anmeldenamen, die Adressen deines Teams, die Namen der Zugänge ohne Zwei-Faktor und deine eigene Anmelde-Adresse speichern wir mit dem Schlüssel deiner Organisation. Nur dein Team sieht sie im Klartext.

Unsere Administratoren und der Support in der „Kundenansicht“ sehen hier nur Zahlen. Mehr dazu unter Datenschutz.

E-Mails

Nachrichten über Sperren und den Wochenrückblick enthalten keine Benutzernamen und keine Adressen. Die Einzelheiten siehst du nach der Anmeldung in Patchnight.

Für Technikinteressierte

Die Zwei-Faktor-Geheimnisse sind auf der Website mit libsodium (secretbox) verschlüsselt. Der Schlüssel liegt als Datei im privaten Speicher des Plugins; ist dieser nicht sicher, wird er aus den WordPress-Salts abgeleitet. Wiederherstellungscodes sind nur als Hash gespeichert.

Ob eine gesperrte Adresse zu deinem Team gehört, prüft die Website anhand von Hashes der Adressen, an denen sich Admins zuletzt angemeldet haben. An Patchnight geht nur das Ergebnis. Länder zu Angreifer-Adressen ermitteln wir, wenn überhaupt, auf unserem Server (IP Geolocation by DB-IP), nie im Plugin. Auch die Liste „Immer erlaubt“ speichern wir verschlüsselt.

Schutzregeln

Für Schutzregeln überträgt deine Website Trefferzahlen und Hinweise auf betroffene Abläufe, keine Anfrageinhalte, aufgerufenen Seiten oder Besucher-IP-Adressen. Für die KI-Erstellung verwenden wir öffentlichen Plugin-Code und öffentliche Angaben zur Lücke; diese gehen an Anthropic, keine Daten deiner Website. Die übrigen Schutzmodule haben eigene Protokolle, wie oben beschrieben.